# Self-hosting como prática profissional > Cuadernos Lacre > https://solo2.net/pt/cadernos/articulos/a-pergunta-entre-a-nuvem-e-a-cave-self-hosting.html Convém começar por desmistificar uma palavra que assusta sem motivo: servidor. Um servidor não é uma máquina misteriosa numa sala refrigerada. É, simplesmente, o computador de outra pessoa —ou o seu— que guarda informação e a entrega a quem a pede. Durante décadas, guardámos os dados dos nossos clientes numa pasta, num arquivo, em cima da secretária do escritório, e ninguém perdia o sono por isso. A informação não metia medo por estar em papel; também não tem de meter por estar num disco. A «nuvem» também não é etérea. É o computador de uma empresa, quase sempre longe e quase sempre de outro. Aprendi isso sem querer no dia em que, confiante de que os meus ficheiros estavam seguros no Google Drive, descobri que a pasta do meu computador não continha os meus documentos, mas sim atalhos para documentos que viviam noutro local. Se esse outro local decidisse fechar, mudar de preço ou cancelar o serviço, a minha tranquilidade iria com ele. Não possuía as minhas coisas; tinha permissão para aceder a elas. Daí nasce a pergunta deste Caderno, mais simples de enunciar do que de responder: onde deveriam viver os dados dos seus clientes? E os seus próprios? A conversa pública coloca-a como se houvesse apenas duas respostas opostas — a nuvem das grandes plataformas ou montar tudo sozinho —, quase uma questão de campo. Mas não são dois caminhos: são três, e nenhum é um ato de fé. Lidos com calma, têm mais nuances e exigem mais do que parece. É fácil pensar que a confidencialidade é coisa de advogados, médicos ou jornalistas, e que os restantes não têm nada a esconder. É um erro, e dos caros. Quase qualquer negócio guarda dados dos seus clientes sujeitos à lei, e muitos guardam, sem saberem, informação bastante mais sensível do que parece. Uma loja de sofás anota o nome, a morada e o telefone de quem compra; se houver financiamento, também os seus dados económicos. Uma empresa de remodelações ou de decoração guarda fotos do interior das casas dos seus clientes e as plantas completas das suas habitações. Uma empresa de limpeza maneja as plantas dos escritórios que limpa, muitas vezes marcadas com cores e números que indicam que funcionário entra onde, a que hora e com que chave. Nada disso parece grande coisa até nos perguntarmos para quem mais teria valor: essas plantas de limpeza são, vistas com outros olhos, o mapa perfeito para quem quiser entrar para roubar. O facto d'um negócio ser pequeno, ou de vender sofás em vez de defender pleitos, não faz com que os seus dados careçam de valor nem que a lei deixe de lhe ser aplicada. Apenas faz com que o seu dono tenda a pensar menos nisso. E pensar pouco em algo que é da sua responsabilidade é, precisamente, onde começam os problemas. Aqui surge a objeção imediata, e é razoável: si tenho tudo no computador do meu escritório, o que acontece si ele se avariar? A pergunta é boa. A resposta é que a rede de segurança que imaginamos nos grandes fornecedores é mais modesta —e mais imitável— do que parece. Quando deixo os meus dados no centro de dados d'uma multinacional, confio que ela tenha cópias em vários locais. E provavelmente as tem: num segundo local, talvez num terceiro. Mas essa redundância não é infinita e, acima de tudo, não é minha: continua a ser um disco rígido do qual não sou o dono, gerido por alguém em quem deposito uma fé que quase nunca verifico. Essa mesma rede posso tecê-la eu, e com uma vantagem decisiva. O meu serviço diário vive no computador do escritório. De lá guardo uma cópia encriptada no computador de uma empresa amiga —um colega de profissão, uma outra escritório de confiança— e outra cópia encriptada, se quiser, nesse mesmo fornecedor europeu de que falávamos. A diferença é tudo: o que deixo fora não é o meu serviço nem os meus dados em claro, mas uma cópia encriptada que só eu posso abrir. O fornecedor externo guarda um cofre fechado do qual não tem a chave. Não lhe confio a minha informação: confio-lhe alguns bytes que, sem mim, não significam nada. Permita-me uma história pessoal, porque ilustra isto melhor do que qualquer argumento. Durante mais de dez anos, fui cliente fiel da CrashPlan, um serviço de cópias de segurança tecnicamente extraordinário. Fazia cópias de segurança na sua nuvem de todos os meus computadores e dos da minha família —os da empresa e os de casa, tudo—, com versões que podia recuperar com a frequência que quisesse, viajando no tempo até um ficheiro específico de há meses. Após a primeira cópia, transmitia apenas as diferenças, encriptadas e comprimidas, de forma a manter atualizada uma cópia de segurança enorme com quase nenhum esforço. Salvoume muitas vezes, de um documento banal a um disco inteiro. O preço foi subindo com os anos e eu não me importava: pagava com satisfação. O que eu não sabia é que CrashPlan tinha cometido um erro de cálculo: tinha prometido por contrato armazenamento ilimitado, em espaço e em tempo. E o espaço multiplicado pelo tempo —anos de história, versões a cada poucos minutos— cresce até se tornar insustentável. Um dia comunicaram-nos a todos que o serviço terminava. Fizeram-no com elegância e com um prazo generoso, quase um ano, e deram-nos meios para descarregar o que era nosso. Mas para onde vai uma pessoa com mais de dez anos de cópias com versões de todos os seus discos? Aí descobre-se que não se tem nem como descarregar tudo nem onde o pôr, e que, mesmo podendo, o novo armazém custaria uma fortuna. Salvei quatro coisas imprescindíveis. O resto foi-se quando desligaram o interruptor. Eu estava tranquilo, a minha informação estava a salvo... até que deixou de estar. E não por uma traição: o CrashPlan portou-se de forma impecável — ao contrário do Evernote, que anos depois se portou de forma vergonhosa —; simplesmente, o meu anjo da guarda na nuvem decidiu, com todo o direito, deixar de o ser. O resultado, para mim, foi idêntico: o que julgava seguro desapareceu. O que esta história realmente ensina tem mais a ver com a natureza humana do que com a tecnologia. Quando uma pessoa sente que algo é da sua responsabilidade, age de forma preventiva: faz cópias, protege as costas, desconfia com bom critério. Quando acredita —erradamente— que a responsabilidade é de um terceiro grande e solvente, relaxa e deixa andar. Essa tranquilidade delegada não é prudência: é, sem maquilhagem, uma forma de irresponsabilidade. Essa irresponsabilidade tranquila assemelha-se muito à de uns pais que matriculam o filho na escola mais cara, pagam-lhe depois um mestrado, e com isso acreditam ter cumprido o seu dever. Não cumpriram. Ser pai é preocupar-se com o que ele aprendeu hoje, com o que não entende, com os seus valores, com a sua autoconfiança. Se aos vinte e cinco anos esse filho não sabe trabalhar nem comportar-se, a culpa não é da escola que cobrou: é de quem delegou e pagou acreditando que isso bastava. Pagar a um terceiro não isenta de responsabilidade. Nunca o fez. Com os dados passa-se o mesmo, e a história recente confirma-o. Há cinquenta ou cem anos um profissional guardava as coisas dos seus clientes em pastas, no seu gabinete ou em sua casa, e sentia-se responsável por elas. Raramente se perdia algo. Passámos para o mundo digital e, com uma facilidade espantosa, carregamos tudo para «a nuvem» — que não é mais do que o computador de uma multinacional — e deixamos de nos preocupar. E com frequência há acidentes, e há empresas que perdem tudo, e então diz-se: a culpa foi do Google, a culpa foi da Microsoft. Não. A informação é sua, ou dos seus clientes, mas o responsável é você. Alojar os seus dados não é um capricho técnico: é recuperar essa serenidade de há décadas, a de saber onde está cada coisa e porquê. A proteção de dados, entretanto, viveu um pêndulo brusco —de não haver norma nenhuma, quando qualquer pessoa exibia os dados d'un cliente sem pensar, a uma exigência que recai com dureza desproporcionada sobre o mais pequeno, o trabalhador independente que dá o telefone d'um cliente ao estafeta. Não discuto o fim; observo o desajuste. Mas o desajuste não nos absolve: no dia em que a administração tiver meios para rastrear e sancionar em escala, o tamanho deixará de proteger ninguém, e convém não esperar por esse dia com a casa por arrumar. Ter o dado sob controlo próprio ajuda a cumprir e ajuda a prová-lo. E, acima de tudo, devolve as coisas ao seu lugar: quando a informação é sua, a responsabilidade é inteiramente sua —não há um terceiro a quem culpar, nem um terceiro cujo falha o exponha—. Seria desonesto pintar isto sem sombras. Ocupar o lugar do intermediário significa carregar com o que lhe é próprio: manter as cópias atualizadas, aplicar as atualizações e uma responsabilidade legal — a do RGPD — que, na realidade, nunca deixou de ser totalmente sua (as referências em rodapé detalham os artigos). Há trabalho, e há um dia em que algo falha a desoras. Não o escondemos. Mas o medo que rodeia essa palavra, responsabilidade, está mal calibrado. É muito mais fácil perder os seus ficheiros num serviço da nuvem que fecha, ou as suas fotos no Google Photos, do que perder aquela pasta de documentos importantes que tem no seu próprio computador: aquela que sabe onde está e cuja falta notaria assim que desaparecesse. O que sente como seu, cuida; o que crê a salvo nas mãos de outro, descura. Pense nos álbuns de fotos de antigamente, os de papel revelado guardados numa gaveta. Já ouviu alguma vez alguém dizer que «perdeu» o seu álbum de família? Ouve-se falar da casa que ardeu com o álbum lá dentro; perdê-lo sem mais, não. E em contrapartida, gente que tinha todas as suas fotos no Google Photos ou no Apple Fotos e ficou sem nada: essa história volta de poucos em poucos meses, porque acreditavam que estava a salvo. O Google Photos cuida das suas fotos, claro que sim; mas não as cuida como uns pais cuidam do álbum onde estão os seus filhos e os seus netos. Essa diferença não a resolve nenhum centro de dados: a responsabilidade, quando é sua, não é só um fardo; é também a melhor garantia. ## Fontes e leitura adicional - Regulamento (UE) 2016/679 — artigo 28º (subcontratante), artigo 32º (segurança do tratamento), artigo 33º (notificação de brechas), artigo 37º (designação do Encarregado de Proteção de Dados). - Agência Espanhola de Proteção de Dados — *Guia prático para a análise de riscos no tratamento de datos pessoais* (revisão vigente). Quadro para responsáveis pelo tratamento que assumem funções técnicas próprias. - Comité Europeu para a Proteção de Dados — *Guidelines 1/2024 on processing of personal data based on legitimate interests*. Aplicável também ao exame de proporcionalidade em decisões de infraestrutura própria. - Comissão Europeia — diretório público de fornecedores de serviços da informação estabelecidos em jurisdição europeia. Ponto de partida administrativo para identificar opções de hosting gerido europeu. - Nextcloud GmbH (Alemanha) — *Nextcloud Enterprise architecture and compliance documentation*. Caso documentado de software livre con modalidades auto-alojada e gerida por fornecedor europeu; útil como referência técnica d'um projeto mantido em jurisdição europeia desde 2016. --- *Cuadernos Lacre · Uma publicação da Menzuri Gestión S.L. · escrita por R.Eugenio · editada pela equipa do Solo2.* *https://solo2.net/pt/cadernos/*